HTTPS（TLS）で守れるもの、守れないものを見分ける
情報セキュリティマネジメント試験 2022年 サンプル問題 問26 ／ セキュリティ › セキュリティ実装技術
過去問にチャレンジ
HTTP over TLS(HTTPS)を用いて実現できるものはどれか。
- ア
Web サーバ上のファイルの改ざん検知
- イ
Webブラウザが動作するPC上のマルウェア検査
- ウ
Webブラウザが動作するPCに対する侵入検知
- エ
デジタル証明書によるサーバ認証
会話形式の解説
講師今回は、HTTPSで何が実現できるかを問う問題です。HTTPSは、HTTPの通信をTLSという仕組みで保護された通信路の上で行う方式です。注目してほしいのは、各選択肢が守ろうとしている対象が「通信」なのか、「サーバやPCの中身」なのかという点です。
受験者HTTPSは通信を暗号化するもの、という理解でした。ただ、選択肢に「改ざん検知」があって、TLSにも改ざんを検出する機能があると聞いたことがあるので、迷っています。
講師よいところに気づいています。TLSが提供するのは、通信の暗号化、証明書による相手の認証、通信途中での改ざんの検出の三つです。ただし、その改ざん検出が対象にするのは、通信路を流れている途中のデータです。
受験者ということは、Webサーバに保存されているファイルが書き換えられたかどうかを調べる機能は、TLSにはないということですか。
講師そのとおりです。サーバ上のファイルそのものを調べる機能はTLSにはありません。同じ「改ざん」という言葉でも、通信中のデータか、保存されたデータかで別物です。ここが一番の引っかけです。
受験者PC上のマルウェア検査と、PCに対する侵入検知も、端末の中や端末への攻撃を見張る話なので、通信を守るHTTPSの役割とは違いそうです。
講師はい。HTTPSは通信内容の盗聴や改ざん、なりすましを防ぐための仕組みで、端末内のファイルやプログラムを検査したり、不正な侵入を見張ったりはしません。端末の感染検査は、マルウェア対策ソフトなど別の仕組みが受け持ちます。
受験者残るのはデジタル証明書によるサーバ認証です。これは「証明書による相手の認証」に当たるのでしょうか。
講師そうです。接続時にサーバがサーバ証明書を提示し、ブラウザなどのクライアントがその証明書を検証して、接続先が正当なサーバかどうかを確かめます。これで、偽のサーバへのなりすましを防げます。これが正解です。
受験者整理すると、HTTPSが守るのは通信路と接続相手の正当性で、サーバやPCの内部の検査は守備範囲外、ということですね。
講師よくまとまっています。補足すると、HTTPSで通信が保護されていても、接続先サイトの内容そのものが安全だとは限りません。似た問題では、「何を守るのか」を先に確認する習慣をつけると判断しやすくなります。
まとめ
HTTPS（HTTP over TLS）は、HTTPの通信をTLSで保護された通信路の上で行う方式です。TLSが提供するのは、通信の暗号化、証明書による認証、通信途中での改ざん検出の三つで、選択肢のうちHTTPSで実現できるのは「デジタル証明書によるサーバ認証」です。サーバ上のファイルの改ざん検知、PCのマルウェア検査、PCへの侵入検知は、サーバや端末の内部を対象とするもので、HTTPSの守備範囲外です。「改ざん検知」は通信中のデータか保存されたデータかで意味が異なるため、守る対象を確認することが大切です。
解答・解説
正解はエです
この問題のテーマ
HTTPS（HTTP over TLS）が提供するセキュリティ機能の範囲を問う問題です。通信路を守る仕組みでできることと、できないことを区別できるかが問われています。
解き方の考え方
HTTPSは、HTTPの通信をTLSで保護された通信路の上で行う方式です。TLSが提供するのは、通信の暗号化、証明書による相手の認証、通信途中での改ざんの検出の三つです。つまり、守る対象はサーバとブラウザの間を流れるデータと、接続相手の正当性です。選択肢ごとに、守ろうとしている対象が「通信」なのか「サーバやPCの中身」なのかを見分ければ、正解を絞り込めます。
選択肢ごとの解説
- ×ア Web サーバ上のファイルの改ざん検知Webサーバ上のファイルの改ざん検知は、HTTPSでは実現できません。TLSの改ざん検出が対象にするのは、通信路を流れている途中のデータです。サーバに保存されているファイルそのものを調べる機能はありません。「改ざん」という語につられて選ばないよう注意が必要です。
- ×イ Webブラウザが動作するPC上のマルウェア検査PC上のマルウェア検査は、HTTPSの機能ではありません。HTTPSは通信を保護する仕組みであり、端末内のファイルやプログラムを検査することはしません。端末の感染検査は、マルウェア対策ソフトなど別の仕組みが受け持ちます。
- ×ウ Webブラウザが動作するPCに対する侵入検知PCに対する侵入検知も、HTTPSでは実現できません。HTTPSは通信内容の盗聴や改ざん、なりすましを防ぐためのものです。端末への不正な侵入を見張る機能は持っていません。
- ○エ デジタル証明書によるサーバ認証デジタル証明書によるサーバ認証は、HTTPSで実現できます。接続時にサーバがサーバ証明書を提示し、クライアントがその証明書を検証することで、接続先のサーバが正当であることを確かめます。これにより、偽のサーバへのなりすましを防げます。
補足
「改ざん検知」という語は、TLSの機能にも、サーバ上のファイルを監視する仕組みにも使われるため、取り違えやすい引っかけです。何を守るのか（通信中のデータか、保存されたデータか）を確認する習慣をつけると、似た問題にも対応できます。なお、HTTPSで通信が保護されていても、接続先サイトの内容そのものが安全だとは限りません。
POINT
- HTTPSは、HTTPの通信をTLSで保護された通信路の上で行う方式です。
- TLSが提供する機能は、通信の暗号化、証明書による認証、通信途中での改ざん検出の三つです。
- サーバ認証では、サーバが提示した証明書をクライアントが検証して、接続先が正当かどうかを確かめます。
- HTTPSが守るのは通信路だけで、サーバやPCの内部の検査（ファイルの改ざん検知、マルウェア検査、侵入検知）は別の仕組みが受け持ちます。